L'Expert de vos Sauvegardes et de la Protection de vos Données !La Solution adaptée à vos besoins
PRA et PCA
Que faire après une cyberattaque ?
Après une cyberattaque, la première action utile est d’arrêter la propagation, pas de réinstaller au plus vite. On isole les systèmes touchés, on garde les traces, on identifie une copie antérieure à l’intrusion, et l’on ne rebranche la production que lorsque le chemin utilisé par l’attaquant est compris, au moins dans ses grandes lignes.
L’essentiel
- Coupez les liens réseau des machines touchées sans les éteindre : la mémoire contient des preuves, que la DGSSI recommande de recueillir et de conserver.
- Ne payez pas la rançon : la récupération n’est pas garantie et le paiement finance l’attaquant.
- Avec une assurance cyber, prévenez l’assureur sans attendre et respectez les délais de déclaration prévus par votre contrat.
- Si votre organisme relève de la loi n° 05-20, déclaration à la DGSSI dès la connaissance de l’incident ; pour les autres, le maCERT invite à tout déclarer.
- Restaurez la dernière copie antérieure à l’intrusion, sur un réseau propre, pas la plus récente sur le réseau infecté.
Les premières heures
Cette page est un cadre de décision. Elle ne remplace pas un prestataire de réponse à incident ni, selon la gravité, les déclarations à l’assureur, à la police et à la DGSSI (maCERT).
- Nommer un décideur. Une personne, pas un fil de discussion à vingt. Elle autorise les coupures. L’ANSSI (agence française de cybersécurité) recommande d’ouvrir dès le départ une main courante : qui a fait quoi, à quelle heure.
- Isoler sans tout effacer. Couper l’accès Internet du réseau attaqué, puis débrancher le réseau des machines suspectes (câble, Wi-Fi, VPN). Éteindre n’est pas le bon réflexe par défaut : la mémoire peut contenir des éléments utiles à l’analyse. En revanche, laisser un serveur chiffrer le reste du réseau est pire. Ne rallumez pas non plus les machines épargnées qui étaient éteintes.
- Ne pas payer dans l’urgence. Payer est déconseillé : la rançon ne garantit ni la clé, ni l’absence de copie des données chez l’attaquant, ni l’absence de retour, et elle finance de nouvelles attaques.
- Prévenir : direction, prestataire informatique, assureur, et le contact juridique si des données personnelles sont concernées (loi n° 09-08).
- Garder une trace : heure de découverte, ce qui a été débranché, photos d’écran, message de rançon, journaux. Ne pas reformater les disques touchés tant qu’une copie saine n’est pas confirmée et que l’assureur ou l’enquête n’a pas dit si les originaux doivent être préservés.
Les délais qui courent
| Démarche | Délai | Qui |
|---|---|---|
| Dépôt de plainte | Le plus tôt possible, avant toute réinstallation | Police (DGSN), gendarmerie royale ou procureur du Roi |
| Déclaration de sinistre | Selon le contrat, souvent très court | Assureur |
| Déclaration de l’incident (organismes relevant de la loi n° 05-20) | Dès la connaissance de l’incident | DGSSI (maCERT : [email protected]) |
| Information des personnes concernées | Dans les meilleurs délais, si leurs données sont touchées | Clients, salariés touchés |
| Inscription au registre interne des incidents | Systématique | Interne |
La plainte doit intervenir avant la réinstallation des machines, pour que les preuves techniques soient encore disponibles. Pour l’assistance immédiate, le maCERT (DGSSI) propose une aide à la réponse aux incidents : [email protected], tél. +212 5 37 57 21 47 / +212 5 37 54 06 90.
Retrouver un état sain
- Chercher la dernière sauvegarde antérieure à l’activité anormale, pas forcément la plus récente. La plus récente est souvent déjà contaminée ou chiffrée.
- Vérifier que cette sauvegarde est hors du réseau attaqué et qu’un compte de l’attaquant ne peut plus l’effacer. C’est le moment où l’immuabilité se justifie.
- Ne pas restaurer sur les machines encore connectées au réseau compromis. On restaure sur un réseau propre, ou sur des instances de secours isolées, après avoir changé les mots de passe et retiré les accès douteux.
L’ANSSI décrit la remédiation en quatre temps : endiguement, éviction de l’attaquant, éradication, puis reconstruction. Restaurer avant l’éviction, c’est rendre à l’attaquant un système neuf. Le détail du redémarrage technique est dans Comment redémarrer son SI après un ransomware ?. La feuille de gestes immédiats est dans Un ransomware vient de se déclencher.
Ce qu’il ne faut pas croire
- « L’antivirus a tout supprimé, on peut rouvrir. » Il a peut-être vu le chiffrement, pas les comptes créés trois semaines plus tôt.
- « La sauvegarde d’hier suffit. » Pas si l’intrusion date de trois semaines.
- « Le PCA a basculé, donc nous sommes sauvés. » Si le secours a reçu les mêmes fichiers chiffrés, il est dans le même état. Il faut une version historique.
- « Dans deux jours, tout sera reparti. » L’ANSSI rappelle qu’après un incident majeur, la remédiation peut durer plusieurs semaines, voire plusieurs mois. Prévoyez un mode dégradé pour cette durée.
Après
Compte rendu, changement des secrets, correction du chemin d’entrée (compte sans second facteur, sauvegarde effaçable, pas d’alerte), nouvel essai de restauration. Une attaque sans changement de pratique se reproduit.
Chez WeDoBack
Les copies sont stockées sur des serveurs dédiés à la sauvegarde, distincts de la production et hors du réseau du client. Si l’offre IMMUABLE est en place sur la période concernée, ces copies ne peuvent pas avoir été modifiées ni supprimées par l’attaquant. Le PRA permet de redémarrer les serveurs sur des instances de secours à partir d’une version choisie, ce qui évite de restaurer sur le réseau encore douteux ; l’activation en sinistre est facturée à la journée. La clé de chiffrement est détenue par le client : elle doit être disponible pour restaurer. L’assistance se joint au +33 9 72 50 78 28 ou à [email protected], de 9 h à 13 h et de 14 h à 17 h 30 (heure de Paris). WeDoBack restaure les systèmes sauvegardés. Il ne fait pas, à lui seul, l’investigation de l’intrusion ni les déclarations aux autorités (DGSSI, maCERT) : ces rôles doivent être prévus ailleurs.
Questions fréquentes
Faut-il éteindre les ordinateurs après une cyberattaque ?
En règle générale, non : débranchez-les du réseau (câble, Wi-Fi) sans les éteindre, pour préserver les éléments utiles à l’enquête en mémoire. Une exception est toutefois admise : si le chiffrement est encore en cours et ne peut pas être stoppé autrement, l’arrêt peut devenir nécessaire.
Dans quel délai porter plainte ?
Le plus tôt possible, avant de réinstaller les machines. Si vous êtes assuré contre le risque cyber, prévenez votre assureur sans attendre et respectez les délais de déclaration prévus par votre contrat. La plainte se dépose auprès de la police (DGSN), de la gendarmerie royale ou du procureur du Roi ; les intrusions dans un système informatique sont réprimées par le Code pénal (loi n° 07-03).
Une attaque par rançongiciel doit-elle être déclarée ?
Le plus souvent, oui. Si votre organisme relève de la loi n° 05-20 (administrations, infrastructures d’importance vitale, opérateurs et prestataires de services numériques), l’incident doit être déclaré à la DGSSI dès sa connaissance (art. 8 et 33). Dans tous les cas, le maCERT invite à déclarer tout incident : fiche à envoyer à [email protected]. Des fichiers clients ou salariés chiffrés touchent des données personnelles, que la loi n° 09-08 impose de protéger contre la destruction ou la perte accidentelle (art. 23) : faites évaluer vos obligations à ce titre et consignez l’incident dans un registre interne.
Combien de temps dure le retour à la normale ?
Pour un incident majeur, l’ANSSI indique que la remédiation peut s’étendre sur plusieurs semaines, voire plusieurs mois. Les services les plus critiques peuvent redémarrer plus tôt, sur une infrastructure propre ou de secours, pendant que le reste est reconstruit.
Pour aller plus loin
Sources
Documents consultés en octobre 2026.
- maCERT : assistance à la réponse aux incidents — DGSSI
- Déclaration d’incidents — DGSSI
- Crise cyber, les clés d’une gestion opérationnelle et stratégique (décembre 2021) — ANSSI
- Cyberattaques et remédiation : les clés de décision (v1.0, décembre 2023) — ANSSI
- Offre PRA : reprise d’activité après sinistre — WeDoBack
Un projet de sauvegarde, de PRA ou de PCA ?
Plus de 20 ans d’expérience dans la protection des données des entreprises.
Demander un devis09 72 50 78 28Protégez vos données avec WeDoBack
Sauvegarde chiffrée hors site, stockage immuable, PRA et PCA : décrivez-nous vos serveurs, nous vous proposons la bonne combinaison.